Es funktioniert offenbar im Prinzip :-)

Der Server liefert aber nur das Zertifikat selbst und nicht das dazugehörige CA-Zertifikat aus. Es erscheint mir ziemlich sinnlos überhaupt eine CA zu verwenden, wenn man deren Zertifikat weder vom Server geliefert bekommt noch irgendwo anders herunterladen kann. Dann könnte man auch gleich ein selbstsigniertes Zertifikat benutzen. Zudem weiß ich aus Erfahrung, dass manche Clients immer die komplette Zertifikatskette vom Server geliefert bekommen möchten und ansonsten die Verbindung ablehnen.